SEMICON Japan 2023レポート｜SEMI E187に準拠したOTセキュリティ対策を解説

半導体製造装置・材料の日本最大級展示会である「SEMICON JAPAN」が、2023年12月13日（水）〜15日（金）に東京ビッグサイトで開催されました。
TXOne Networksはブース出展のほか、12月15日(金)の「サイバーセキュリティフォーラム」において、業務執行役員マーケティング本部長今野尊之によるセミナーを行いました。今回は当日会場の様子とセミナーの内容「半導体セキュリティ規格 SEMI E187に適合したセキュリティ対策」を当日会場にお越し頂けなかった皆さま向けに、弊社講演内容をレポート致します。
是非ご一読ください。

TXOne登壇内容「半導体セキュリティ規格 SEMI E187に適合したセキュリティ対策」

TXOneの講演では「SEMI E187では具体的にどういった要求事項があり、それにどう対応できるか、どのような対策ができるか」という点を中心にして進めさせて頂きました。

TXOne Networks Japan合同会社業務執行役員マーケティング本部長今野尊之

半導体業界におけるセキュリティリスク

半導体業界におけるセキュリティリスクということで、代表的なリスク3つを紹介しました。

1つ目が内部関係者によるリスク。マルウェアが含まれたUSBメモリをデバイスに接続してしまう例です。これは社員、もしくはサプライヤーの方がメンテナンスのために持ち込んだりしたことから、ウイルスに感染してしまうという事例です。

続いて、生産現場に導入する装置。これらの装置にもWindows OSをはじめとした汎用OSがシステムとして実装されています。その中に、何らかの理由でマルウェアが混入していて、製造ラインに導入したときに、製造ライン内に一気に感染が広がってしまうというケースがあります。

3つ目は外部脅威です。DX等の取り組みによって、リモートメンテナンス用途でVPN等を新たに導入すると、そのVPN機器の脆弱性をつかれてマルウェアに感染してしまうことがあります。

いずれも生産の現場では、起こりえるセキュリティリスクですので、ここをいかにして防御するかがポイントになります。

資産のライフサイクルにおける感染要因

次に装置が工場に導入されてから、稼働してメンテナンスに入るデバイスのライフサイクルでの感染の要因を見ていきます。TXOne Networksが製造業のお客様にアンケートを取った結果から、要因を紐解いています。

まず1つ目は新規に導入した資産に、最初から、脆弱性や悪意のあるファイルが含まれていたと回答した方が47%。ウイルスが混入してるというだけではなくて、脆弱性を抱えたままの装置が導入されたということも含まれます。

続いてOT（Operational Technology）環境でのWindowsデバイスにおいて、きちんとセキュリティ対策ができていると答えた方は、わずか6%。つまり94%は、古いOSでセキュリティ対策ができないといった課題を抱えながら、現在の生産活動を継続しているという状況です。

最後は「ITセキュリティのインシデントが、OTの生産の継続やオペレーションに影響を与えてしまったと答えた方が94%いた」という結果に。

このように製造業の現場におけるセキュリティの実態が数字によって明らかにされています。この対策をどうするかが今後のポイントとなります。

膨大な数の端末をどう管理していくのか

ファウンドリには平均約8000から1万5000台のコンピューティングパワーを持つ端末が稼働しており、ITのOA環境に比べ、膨大な数の端末をどのように管理していくかが、半導体業界ならではの非常に大きな特性です。

もう1つの特性として、端末のOSの種別の比率についてお伝えしました。赤で囲ったOSは、すでにマイクロソフト社の延長サポートが終了しているOSで、これが8割から9割存在して稼働しています。

長期利用を前提とした半導体装置は、導入してから長期間使っていくと、やはりOSも古くなっていきます。また装置の中古市場というのも活性化しているため、こうした中古市場の装置が、古いOSを採用しているケースがあります。

セキュリティパッチの当たらない端末が稼働していても、クローズなネットワークであれば、今までは問題ありませんでした。しかしDXの取り組みによって、工場内ネットワークをネットワーク化していくと、この古いOSを使い続けるというのが、リスクの増加になることが考えられます。

SEMI TAIWANのCyberSecurity Committee

つぎにSEMI TAIWANの活動についても説明しました。TXOne NetworksのCEO テレンス・リュウはCybersecurity Committeeのグループリーダーを務めており、SEMI TAIWANは規格の策定、その規格の普及・啓蒙をしていくなど、図にあるように4つの柱で活動を行っています。

こうした規約を半導体製造現場で実装していく取り組みは、半導体業界全体でサポートしていく必要があります。

加えて2022年に発行され、半導体製造装置の設計を安全にして、セキュリティ保護するための基本的な要件を定めるSEMI E187について、解説しました。

主な対象としては、装置サプライヤーや、それを実装するシステムインテグレーターです。さらにサプライチェーン全体のセキュリティレベルを底上げしていくということを1つ大きな目的にしています。

実際の規格の中身ですが、4つのカテゴリーで、要求事項が整備されています。OSに関する機能、ネットワークセキュリティ、エンドポイント保護、セキュリティモニタリングです。

SEMI E187の要求事項への対応例

TXOne Networksではこうした要求事項に対して、ソリューションでどのように対応していくかという点について解説しました。

例えば「サポート終了を迎えたOSを搭載した装置を購入してはならない」については、保有資産にパッチが当てられない場合でも、その前段にEdgeシリーズといったIPS装置を置くことで、仮想的にその脆弱性を狙った攻撃をブロックするというようなことができます。

続いて、エンドポイントセキュリティの要求事項で、「その装置出荷前の脆弱性のスキャンや、マルウェアのスキャンを行う」というところでは、USBタイプのPortable Inspectorを、装置に刺してマルウェアスキャンを行います。合わせてその資産のシステム情報や、脆弱性の情報といったものを全て集約し、PDF形式のマルウェアフリーレポートを作成できます。

もう1つ「エンドポイントセキュリティの、アンチマルウェアソリューションとファブ装置の互換性を評価する」は、新しいOSを実装している端末にはリアルタイムスキャンを、古いOSを実装している装置には、ロックダウンという形で、必要なアプリケーションだけを固めてしまいます。 TXOneでは1つのエージェントで環境に応じて柔軟に選択ができるようなエンドポイントのソリューションを用意しています。

またEdgeIPS Proという、最大96ポートまである、多ポート型の装置を実装することで、生産ライン間やその各デバイス間のマイクロセグメンテーションが実現できます。感染を横に拡大させない、もしくは不正な通信を検知してブロックする」といった使い方もできます。